[Débat] Utilité Firewall derrière routeur

[ovh]

Bon certains professionnels de l'informatique prétendent qu'un firewall est totalement inutile si toutes les machines sont derrière un routeur qui natte la connexion, à condition de ne rien télécharger comme programme exotique du net.

De même parce qu'elles n'utilisent et n'installent pas de programmes exotiques certaines personnes n'utilisent pas d'anti-virus, sauf pour scanner exceptionnellement un fichier douteux reçu par mail, mais jamais un AV qui tourne en résident. Ils utilisent en autre OpenOffice, Firefox, Thunderbird et tous les produits libres possibles pour éviter les passoires notoires que sont IE, OE et autres logiciels connus.

Inconscience ou tout à fait normal de la part de professionnels ?
Vos avis svp ?

Merci


PS : svp no troll, débat sérieux entre pro et connaisseurs si possible, merci.

[antp]

Je trouve ça tout à fait normal... c'est ce que je fais

[Zion]

ovh> antp et moi, on part du principe que sur nos machines, on fait du développement sur 99.99% de notre temps, on surfe sur 2 ou 3 sites connus, toujours les mêmes, et on utilise pas des trucs exotiques comme MSN Messenger ou autres. De plus, aucun port n'est routé de notre routeur vers les machines concernées.

Tu peux crier à l'inconscience si tu veux, mais regarde bien les stats des virus actuels, la plupart c'est les gens qui les installent quasi volontairement en cliquant sur n'importe quoi... Et un mail de bill gates qui m'envoie une photo de britney spears nue, désolé, j'y crois pas

[ovh]

Tu peux crier à l'inconscience si tu veux, mais regarde bien les stats des virus actuels, la plupart c'est les gens qui les installent quasi volontairement en cliquant sur n'importe quoi...

"La plupart" c'est bien là que le bât blesse selon moi. Je me souviens très bien de certains virus rares mais dont l'activation se faisait toute seule sans intervention de l'utilisateur ! Bon ok ça a été patché depuis mais ce n'est pas pour ça que ça n'existera plus...

Pour l'histoire de la protection par le NAT : je ne suis pas un spécialiste, mais ça m'étonnerait qu'un NAT soit invulnérable... Si je t'envoies des paquets spoofés avec l'adresse de ton réseau local je peux te faire exploser un serveur et peut-être en prendre le contrôler par débordement de buffer non ?
Par contre un firewall le détectera...

Et il y a sûrement d'autres exemples.

[Nymous]

Et un mail de bill gates qui m'envoie une photo de britney spears nue, désolé, j'y crois pas

[mode trol]
Ah bon , pq tu n'y crois pas ....
[mode trol off]

Sinon comme l'a dit Zion, ça dépend de l'utilisation de ta machine. Je trouve que le plus secure pour les virus, c encore d'installer un Linux et de n'utiliser que lui mais bon ... faut être très courageux dans ce cas ...


++

[rfr]

ovh> antp et moi, on part du principe que sur nos machines, on fait du développement sur 99.99% de notre temps, on surfe sur 2 ou 3 sites connus, toujours les mêmes, et on utilise pas des trucs exotiques comme MSN Messenger ou autres. De plus, aucun port n'est routé de notre routeur vers les machines concernées.

Tu peux crier à l'inconscience si tu veux, mais regarde bien les stats des virus actuels, la plupart c'est les gens qui les installent quasi volontairement en cliquant sur n'importe quoi... Et un mail de bill gates qui m'envoie une photo de britney spears nue, désolé, j'y crois pas

Avoue que tu t'ennuies pour le moment

Bon, quand est-ce qu'il revient ?

[ovh]

Avoue que tu t'ennuies pour le moment

Bon, quand est-ce qu'il revient ?

On avait dit pas de troll

[H2G2]

Avoue que tu t'ennuies pour le moment

Ouaip, grave même... pour en être réduit participer à un débat sérieux entre pro avec OVH

[Zion]

Sinon comme l'a dit Zion, ça dépend de l'utilisation de ta machine.

Bah j'ai ma machine Linux d'un côté ou j'y cherche le logiciel quivabien quand je veux un truc. Y a pas longtemps je voulais faire une carte de visite, j'ai trouvé un truc sous GPL très sympa, pas besoin de chercher un équivalent sous Windows.

Deuxio, j'ai une machine virtuelle au cas ou je serais vraiment obligé d'installer un logiciel qui ne me plait pas à première vue, ma machine virtuelle verollée, je m'en fous, c'est qu'une machine de test et réversible.

Pour le reste, sincèrement, j'ai pour le moment quasi tous les logiciels dont je peux rêver, je m'en fous de trouver un logiciel plus joli pour graver un DVD, celui que j'ai fonctionne bien, il me suffit, pareil pour le reste, ca fonctionne, pourquoi changer, surtout si c'est en GPL d'ailleurs

Pour ta pseudo attaque de mon NAT, si il doit il y avoir une seule protection, elle doit être sur mon routeur, je ne vois pas pourquoi je devrais installer une protection sur 5 machines alors que tout passe par un seul point qui doit lui être irréprochable? Je n'ai pas peur de me faire attaquer par ma copine en local, et le sans-fil n'est pas mon ami

rfr> Maximum 3heures normalement, donc j'espère avant 17h

[Zion]

Ouaip, grave même... pour en être réduit participer à un débat sérieux entre pro avec OVH

Merci pour cet éclat de rire sponsorisé par H2G2

[RippeR]

'lut,

Dépend de l'usage de la machine et des utilisateurs.

Pour mon usage perso, juste un routeur et ni FW local ni AV me conviendrait parfaitement avec un risque d'infection proche de zéro et de toute façon, je suis capable de me désinfecter en cas de besoin sans AV.

Les DMZ ou les VM comme le fait remarquer Zion ne sont pas faites pour les chiens Les Images non plus

Par contre pour l'utilisateur lambda, un FW qui filtrera le IN/OUT applicativement en plus du routeur me semble un must.

De même en entreprise : la plupart des infections viennent du LAN et non de l'extérieur, portable branché sur le rezo d'entreprise, HDD sur fireware ou USB, CD, disquette, clé USB.... sont autant de sources d'infections possibles

Vu la puissance des babasses actuelles, un FW + un AV IRT n'ont pratiquement aucun impact sur les performances.

Ne pas perdre de vue non plus qu'un FW mal configuré est pire que pas de FW....

Une bonne solution aussi sous les Win NT : une stratégie de sécurité IP sur Ordinateur local est un excellent complément au routeur ou au FW sur les postes et est très facilement distribuable.

[Tuck]

pro : non
connaisseur : c'est pas a moi de juger.
inconscient : peut etre

j'ai un bete 510v4, pas d'AV et pas de FW. un pc qui fait "serveur de fichiers" genre mp3 etc et 3 pc utilisateurs quasi 24/24 allumés. firefox, thunderbird msn etc... et jamais le moindre probleme. et en cas de probleme, suffit de prendre un CD-RW, de le graver a partir du pc "serveur" et d'aller ghoster le pc quivapas. le probleme en informatique, c'est les gens qui cliquent tjs oui sur n'importe quoi, qui n'ont pas un pc a jour etc... en gros je vois pas l'avantage pour un "hacker" de s'amuser a se faire le pc d'un internaute alpha qui surfe et va parler sur msn.

[antp]

De plus, aucun port n'est routé de notre routeur vers les machines concernées.

J'ai quand même des ports routés pour ICQ, VNC, Kapere, et quelques autres trucs

Les tests de trucs "suspects" je les fais dans VirtualPC.

[ovh]

en gros je vois pas l'avantage pour un "hacker" de s'amuser a se faire le pc d'un internaute alpha qui surfe et va parler sur msn.

Sur ce point tu te gourdes lourdement. Les hackers prennent des PC au hasard, grâce à des robots qui scannent des plages d'IP à la recherche de vulnérabilités... De plus tu peux très bien avoir sur ton pc des données sensibles provenant de ton boulot ou tout simplement de ta vie privée (mots de passe isp, informations bancaires, etc.).

C'est une erreur grave de se dire "aucun hacker ne s'intéressera jamais à moi".

[Zion]

J'ai quand même des ports routés pour ICQ, VNC, Kapere, et quelques autres trucs

Les tests de trucs "suspects" je les fais dans VirtualPC.

Bon, j'avoue, j'en ai aussi ouvert qquns pour ma machine, dont Miranda

ovh> Il n'a pas dit qu'un cracker n'allait pas s'intéresser à lui, mais les scripts de brute-force classiques, c'est pas ces exploits qui vont infecter nos machines

Mais pour les non initiés, j'installe évidemment toujours un antivirus, un firewall et un anti-spyware maintenant, ca fait jamais de mal.

Petite anecdote en passant sinon poru rejoindre RippeR, j'ai un gars qui écrit se plaignant qu'il ne sait pas mettre des trucs dans le caddy sur un site e-commerce, sauf si il désactive ZoneAlarm... Je veux bien que la paranoia soit entretenue par qqs médias, mais de la à ce que le mec bloque les cookies de session, faut être gravement malade quand même...

[RippeR]

en gros je vois pas l'avantage pour un "hacker" de s'amuser a se faire le pc d'un internaute alpha qui surfe et va parler sur msn.

'lut,

Il ne s'agit pas de hacking mais le plus souvent d'ouvrir un backdoor sur des machines, installer un serveur FTP ou SMTP pour arroser de spam impunément, de créer un rezo de PC zombies pour mener des DDoS contre de gros portails, etc...

Les virus avec un payload destructif sont de plus en plus rares, en fait le malveillant a tout intérêt à ce que la machine tourne nickel puisqu'il l'utilise comme passerelle On voit plutôt fleurir les vers de courrier installant l'un ou l'autre trojan ou bot IRC. Beaucoup sont d'ailleurs dormants pour préparer une opération et peuvent n'être utilisés qu'après plusieurs semaines ou plusieurs mois quand le malveillant estime avoir une armée de zombies suffisamment importante pour mener son opération, par exemple mener un DDoS contre un site marchand et le rançonner pour arrêter la paralysie de son portail, etc...

Chez les particuliers, même si le routeur propose un FW, le plus souvent l'utilisateur se contente de créer quelques règles NAT, éventuellement d'activer le FW avec les règles par défaut qui ne filtrent généralement (et très bien d'ailleurs que le IN) et de toutes manières même s'il le configure pour filtrer le OUT, ces types de FW ne sont pas prévus pour du filtrage applicatif : un port ouvert en OUT ou en IN l'est pour toute application l'utilisant.

Un trojan installé fera généralement tranquillement son boulot, c'est le cas des IRC bots entre autres dont une grande partie utilisent le port 6667 ou les serveurs FTP installés à l'insu de l'utilisateur qui tournent sur les port standard FTP et FTP Data comme les applications régulières.

[didix en touriste]

[...]
Vu la puissance des babasses actuelles, un FW + un AV IRT n'ont pratiquement aucun impact sur les performances.
[...]

En supposant que IRT veuille dire "In Real Time", je ne suis pas d'accord...
Ici on a un anti-virus IRT avec un tas de scans de tous types avec déploiment réseau, et bien c'est une vrai crasse.
Sur des P4 3GHz avec 512Mo de ram, il ralentit d'au moins 50% les machines. Sans parler des problèmes réseau qu'il crée :s
C'est peut-etre un cas particulier, mais ca m'a complètement dégouté des AV.
Chez moi je n'en utilise pas (sauf un scan de temps en temps, genre 1 fois par an) et jamais eu de problème.

Voulais y mettre mon grain de sel

[ovh]

C'est quoi comme AV ? Norton ?

[didix en touriste]

Nan, panda :-/

J'ai vu le norton tourner, il est vachement mieux...

[Kilroy]

Ca ne réponds pas à la question
C'est quoi comme AV qui prends 50% d'un P4 3ghz pour faire son boulot ?
Tu est sur que ce n'est pas autre chose des fois?

ps:
Pour la question de départ, pour un "power" user qui sait ce qu'il fait et où il va, un FW derrière un routeur n'est pas obligatoire. Tant qu'il scanne son PC régulièrement et qu'il prends les précautions d'usage avec les sites et softs "sensibles", après tout c'est son problème.

Par contre (ie: par ex, pour mes parents et beaux-parents), je leur ai mis la totale ( ewido/prevx/avg/ad-ware/ZA/..) pour ne plus avoir d'ennuis. Ca ralentit un brin certes (mais très très loin des 50%) mais quelle tranquilité